Acordo de Tratamento de Dados

01Papéis das partes

Quanto aos dados de projeto que a sua organização carrega e gere no VentScan, a sua organização é a responsável pelo tratamento e o VentScan é o subcontratante. O VentScan trata esses dados pessoais apenas segundo as suas instruções documentadas, que incluem a sua utilização do serviço e este DPA.

02Objeto e duração

O objeto é o tratamento necessário para prestar o serviço VentScan: reconciliar as fontes de um projeto HVAC, recalcular consequências e registar decisões. O tratamento dura enquanto vigorar a sua subscrição e até os dados serem devolvidos ou eliminados, conforme indicado abaixo.

03Natureza e finalidade do tratamento

A natureza do tratamento inclui guardar os ficheiros carregados, extrair e estruturar dados de HVAC, executar cálculos determinísticos e produzir Proof Packs. A finalidade é exclusivamente prestar-lhe o serviço; não tratamos os seus dados para finalidades próprias alheias, e não os usamos para treinar modelos partilhados por omissão.

04Categorias de dados e titulares

Os dados pessoais tratados ao abrigo deste DPA limitam-se ao que a sua organização coloca no serviço, podendo incluir:

• Dados de identificação e contacto dos seus utilizadores (nome, e-mail, função).
• Quaisquer dados pessoais contidos incidentalmente em ficheiros de projeto carregados ou em metadados.
• Os titulares dos dados são, em regra, os membros da sua organização e, quando aplicável, as pessoas indicadas nos seus ficheiros de projeto.

05Obrigações do subcontratante

Enquanto subcontratante, o VentScan compromete-se a:

• Tratar os dados pessoais apenas segundo as suas instruções documentadas, incluindo quanto a transferências internacionais.
• Assegurar que o pessoal autorizado a tratar os dados está sujeito a confidencialidade.
• Aplicar medidas técnicas e organizativas de segurança adequadas (ver secção 06).
• Apoiá-lo, tendo em conta a natureza do tratamento, na resposta a pedidos dos titulares dos dados.
• Apoiá-lo em matéria de segurança, notificação de violações e, quando pertinente, avaliações de impacto sobre a proteção de dados.
• Disponibilizar a informação necessária para demonstrar o cumprimento destas obrigações.

06Medidas de segurança

O isolamento entre organizações é imposto na base de dados PostgreSQL através de segurança ao nível da linha, pelo que os dados de uma organização não ficam acessíveis a outra. A autenticação de dois fatores é obrigatória. Os dados são cifrados em trânsito. Os ficheiros originais carregados são preservados inalterados, como objetos imutáveis, e o acesso é registado.

07Subcontratantes

Autoriza o VentScan a recorrer aos seguintes subcontratantes, tratando cada um apenas os dados necessários à sua função:

• Hetzner — alojamento e armazenamento de objetos na UE.
• Stripe — processamento de pagamentos.
• Resend — envio de e-mail transacional.
• Moloni — faturação para clientes em Portugal.
• Sentry — monitorização de erros (região da UE).

A autenticação é alojada por nós próprios (Better Auth) e não é delegada a terceiros. Daremos aviso prévio de qualquer intenção de acrescentar ou substituir um subcontratante, para que possa opor-se por motivos razoáveis de proteção de dados.

08Transferências internacionais

Todo o tratamento ocorre na União Europeia. Por omissão, o VentScan não transfere dados pessoais para fora do Espaço Económico Europeu. Caso algum tratamento futuro exija uma transferência, esta basear-se-á numa decisão de adequação ou em garantias adequadas, e será previamente informado.

09Auditorias

Mediante pedido escrito razoável, e sob confidencialidade, o VentScan disponibilizará a informação necessária para demonstrar o cumprimento deste DPA e cooperará com auditorias realizadas por si ou por um auditor por si mandatado, de forma a não comprometer a segurança de outros clientes.

10Devolução e eliminação dos dados

Após a cessação, ou mediante pedido anterior seu, o VentScan, à sua escolha, devolverá ou eliminará os dados pessoais tratados por sua conta, incluindo cópias, salvo se a conservação for exigida por lei. Pode igualmente exportar os seus dados enquanto a sua conta estiver ativa.

11Notificação de violações

O VentScan notificá-lo-á sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os seus dados, prestando a informação de que necessita para cumprir as suas próprias obrigações de notificação, incluindo a natureza da violação e as medidas tomadas.

12Contacto

Questões sobre este DPA ou sobre o nosso tratamento: hello@ventscan.com.